如何在iptables中打开LDAP客户端所需的端口

蓝白725

我有一台RHEL 6.2配成了OpenLDAP客户端，可以通过ldap用户登录。

现在由于安全方面的考虑，需要禁止任何非root用户访问网络：
# /etc/init.d/iptables status           
Table: filter
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
num  target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
num  target     prot opt source               destination         
1    REJECT     all  --  0.0.0.0/0            0.0.0.0/0           ! owner UID match 0 reject-with icmp-port-unreachable

但是如果这样设置iptables的话，ldap就有问题了，比如：我只想getend passwd得不到任何ldap用户。
所以，我想再把ldap所需要的端口打开：
# /etc/init.d/iptables status           
Table: filter
Chain INPUT (policy ACCEPT)
num  target     prot opt source               destination         

Chain FORWARD (policy ACCEPT)
num  target     prot opt source               destination         

Chain OUTPUT (policy ACCEPT)
num  target     prot opt source               destination         
1    ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp spt:389 dpt:389
2    ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0           udp spt:389 dpt:389
3    REJECT     all  --  0.0.0.0/0            0.0.0.0/0           ! owner UID match 0 reject-with icmp-port-unreachable


但是这样还是不行。。。


如果哪位大大做过类似的设置，麻烦指导一下，谢啦！

蓝白725

另外，我看到ldap可能用到的端口有这些：
# cat /etc/services | grep ldap      
ldap            389/tcp
ldap            389/udp
ldaps           636/tcp                         # LDAP over SSL
ldaps           636/udp                         # LDAP over SSL
www-ldap-gw     1760/tcp                # www-ldap-gw
www-ldap-gw     1760/udp                # www-ldap-gw
ldap-admin      3407/tcp                # LDAP admin server port
ldap-admin      3407/udp                # LDAP admin server port
bmc_ctd_ldap    6301/tcp                # BMC CONTROL-D LDAP SERVER
bmc_ctd_ldap    6301/udp                # BMC CONTROL-D LDAP SERVER

不知道，我是不是在iptables中漏掉了哪些。。。